开源安全工具
Falco：容器运行时威胁检测
Falco 是 CNCF 运行时安全工具，用于监视系统调用；规则描述了永远不应该发生的行为（在 nginx 中生成的 shell、有人读取 /etc/shadow、挂载主机文件系统的容器），Falco 会在这些行为发生时发出警报。它与图像扫描相对应：Trivy 级工具在部署之前捕获已知漏洞，Falco 在运行时捕获不当行为。
要点
- 数据源是系统调用：内核模块或现代 eBPF 驱动程序提供与进程/容器上下文（图像、命名空间、用户、系统调用参数）匹配的规则的事件流，包括容器感知字段，如 Kubernetes 部署元数据；这个系统调用级别的镜头可以看到基于日志的检测遗漏的内容。
- 默认规则涵盖经典的容器转义类：特权容器启动、敏感文件读取、反向 shell、容器内意外的网络工具、在挂载下写入以及已知的容器运行时同级生成；默认设置是一个起始基线，旨在根据每个资产进行调整。
- 规则是 YAML 和系统调用，而不是签名：无需更新 CVE 源；相反，像“spawned_process and proc.name in (shellkit binaries)”这样的行为策略表达了遗产的期望；调整故事是类级别的（写入和读取二进制文件）而不是每个签名。
- 输出基于插件：stdout、syslog、Slack、编排器的 webhook 以及关键的现代集成（Falco Talon 级自动响应）；大多数资产都将警报指向与 Wazuh（我们的专门文章）相同的 SIEM，因此运行时和端点警报是相关的。
- 部署形状与房地产相匹配：Kubernetes 上的 daemonset（现代内核上的 eBPF 驱动程序），基于主机的独立 Docker 主机；资源占用量不大，但在 10G 节点级内核上会受到影响，这一点很重要，因为 eBPF 探针与内核版本和发行版密切相关。
- 我们安全工具集中的诚实定位：Falco 检测不当行为，但不会阻止它；将其与图像扫描 (Trivy)、准入策略（Kubernetes 安全上下文/编排工具）和网络控制配对；凌晨 3 点发现的违规行为比无人阅读的扫描报告更有价值。
一线手记
Falco 在客户端集群上的第一个捕获：带有 shell 的调试映像，有人出于习惯在生产中使用它。没有 CVE，没有扫描仪命中，纯粹的行为。触发的规则是我们打算调整的默认规则。违约有时会大赚一笔。
常见问题
Falco 与商业 CNDR 产品对比？
Falco 将系统调用检测核心作为开源，并采用社区拥有的规则格式；商业工具添加了 UI、ML 异常模型和托管响应工作流程，并且许多资产都在系统调用层旁边运行 Falco。
Falco 捕捉到了扫描仪遗漏的哪些内容？
运行时行为：用于生成 shell 的凭证被盗，容器读取不应该读取的机密，从 Web 层转向 Kubernetes 集群；扫描仪检查运输的货物，法尔科观察发生的情况。
eBPF 是强制性的吗？
eBPF 驱动程序是现代默认驱动程序，避免了内核模块维护；旧内核存在遗留内核模块，系统调用源插件将 Falco 扩展到 Linux 主机之外。
默认规则的噪音有多大？
在使用不寻常工具的环境中会产生噪音，尤其是在部署期间；在警报变得可操作冷而不是自动背景噪音之前的前几周，预计会有一个真正的调整周期（每个命名空间的异常规则）。
Kinetikatech 如何在开源安全工具方面为您提供帮助
说实话，很多团队都是自己先试过才来找我们：测试工具箱专业人员实际上一直在加载：扫描仪、嗅探器、破解器和网络代理解释了它们在实际操作中的使用方式 - 命令、标志、输出以及每个工具在方法中的位置。我们的渗透测试和Linux 服务器安全服务就是为了让您不必在开源安全工具上交学费：部署、值守与凌晨 3 点的突发状况，都由我们负责。